6.2. План обеспечения непрерывной работы и восстановления функционирования автоматизированной системы

Частью реакции на нарушения безопасности является предварительная подготовка ответных мер. Под этим понимается поддержание должного уровня защиты так, чтобы ущерб мог быть ограничен, а в дальнейшем исключен. Указанный план определяет действия персонала АС в критических ситуациях с целью обеспечения непрерывной работы и восстановления функционирования АС. Он должен исключить двусмысленности, возникающие во время инцидента.

Необходимость указанного плана диктуется следующим:

• предотвращением угрозы жизни людей,

• экономическими целями,

• требованиями по защите секретной, критически важной (особенно невосстановимой) информации,

• нежелательной оглаской в прессе,

• правовым аспектом (например, возможно преследование организации в судебном порядке).

Кроме того, наличие плана благотворно влияет на моральную обстановку в коллективе. Руководство знает, что при неблагоприятных условиях не придется начинать все сначала, пользователи уверены — какая-то часть их труда будет сохранена.

Обычно план состоит из двух частей, описывающих:

1. Меры реагирования на нарушения безопасности.

2. Восстановительные работы.

6.2.1. Меры реагирования на нарушения

Данные меры направлены на обнаружение и нейтрализацию нарушений. Они преследуют две основные цели:

• ограничение распространения угрозы и снижение ущерба,

• недопущение повторных нарушений.

В соответствии с этим строится указанная часть плана, которая содержит следующие группы сведений:

1. Основные положения.

2. Оценка инцидента.

3. Оповещение.

4. Ответные меры.

5. Правовой аспект.

6. Регистрационная документация.

В основных положениях документа формулируются цели политики безопасности в вопросах реакции на нарушения. Важно заранее определить приоритеты при решении спорных вопросов. После уяснения целей и приоритетов, они подлежат упорядочиванию по степени важности. В таблице 7.1. представлен пример типовых целей и приоритетов системы безопасности АС предприятия.

Таблица 7.1.

Вариант упорядочивания целей и приоритетов

Цели	Приоритеты
Гарантировать целостность критически важных подсистем. Сохранить и восстановить данные. Сохранить и восстановить сервисы. Выяснить причину инцидента. Предотвратить развитие инцидента и будущие инциденты. Избежать нежелательной огласки. Найти виновников. Наказать нарушителей.	Защита жизни и здоровья людей. Защита секретных и критически важных данных. Защита прочих данных. Предотвратить повреждение системы. Минимизировать урон вычислительным ресурсам.

Большинство нарушений безопасности достаточно трудно идентифицируются. Для выявления нарушений безопасности в документе могут быть определены признаки нарушений. Таковыми могут быть: отказы подсистем, неестественная активность и ненормальные действия некоторых пользователей, новые файлы со странными именами, рассогласование в учетной информации, необычно низкая производительность, подозрительные пробы (многочисленные неудачные попытки входа), подозрительное изменение размеров и дат файлов или их удаление, появление новых пользовательских счетов, попытки записи в системные файлы, аномалии (звуковые сигналы и сообщения) и т.д. и т.п.

Идентификации инцидента сопутствует определение масштаба его последствия. Здесь целесообразно выяснить: затрагивает ли нарушение несколько организаций и подсистем АС, находится ли под угрозой критически важная информация, какой источник нарушения, каковы могут быть потенциальные потери, какие материальные и временные ресурсы могут понадобиться для ликвидации нарушения и др.

В плане описываются схема оповещения конкретных лиц, указываются руководство и ответственные лица, оговариваются вопросы взаимодействия с группами быстрого реагирования (собственная группа или внешняя), связи с общественностью (могут быть подготовлены пресс-релизы), с правоохранительными органами. Здесь же рекомендуется осветить стандартные формулировки докладов.

При выработке ответных мер определяются следующие процедуры:

• сдерживания распространения нарушения (как ограничить атакуемую область),

• ликвидации последствий,

• восстановление,

• анализ случившегося с извлечением уроков.

Очень важно, чтобы реакции на нарушения были тщательно зарегистрированы. По крайней мере, фиксируются: системные события (следует приобщить к документации регистрационный журнал системы), все действия с указанием времени, все телефонные разговоры.